Betroffene Einrichtungen
Bereich
In FortiOS, FortiPAM, FortiProxy und FortiSwitchManager wurde eine Path-Traversal-Schwachstelle identifiziert, die es einem authentifizierten Angreifer mit Administratorprofil und mindestens Lese-/Schreibrechten ermöglicht, über spezifische CLI-Befehle beliebige Dateien auf dem Zielsystem zu schreiben oder zu löschen. Ein erfolgreicher Angriff kann zur Manipulation von Konfigurationsdateien, zur Persistenz von Schadsoftware oder zur vollständigen Kompromittierung der betroffenen Netzwerksicherheitskomponente führen. Fortinet-Produkte wie FortiOS und FortiProxy werden in Gesundheitseinrichtungen häufig als zentrale Firewall- und VPN-Gateways eingesetzt und schützen kritische Segmente wie KIS, PACS und Medizingerätenetzwerke – ein Ausfall oder eine Kompromittierung dieser Komponenten kann die Verfügbarkeit patientenrelevanter Systeme gefährden. Aufgrund der aktiven Ausnutzung (CISA KEV) ist eine sofortige Patch-Prüfung und -Anwendung sowie eine Überprüfung bestehender Administratorzugänge dringend erforderlich.
1 Fortinet-Sicherheitsadvisory FG-IR zu FortiOS, FortiPAM, FortiProxy und FortiSwitchManager prüfen und die jeweils empfohlenen Patch-Versionen umgehend einspielen – Hersteller-Advisory unter fortiguard.fortinet.com auf aktuelle Fixversionen prüfen und diese sofort anwenden.
2. Administratorzugänge auf das absolute Minimum beschränken: Benutzerkonten mit Admin-Profil und Schreib-/Löschrechten auf CLI-Ebene auflisten und nicht benötigte Konten deaktivieren.
3. CLI-Zugriffe auf betroffene Fortinet-Systeme in Protokollen (Syslog, SIEM) auf verdächtige Dateisystemoperationen (Schreiben/Löschen außerhalb zulässiger Pfade) rückwirkend analysieren.
4. Netzwerksegmentierung überprüfen: Sicherstellen, dass Management-Interfaces der Fortinet-Geräte nicht aus dem klinischen Netz oder dem Internet direkt erreichbar sind.
5. BSI-Meldeprozess vorbereiten: Für KRITIS-Krankenhäuser prüfen, ob eine aktive Ausnutzung festgestellt wurde und ggf. Meldung an das BSI einleiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja